Venerdì 9 giugno Fortinet ha pubblicato nuove versioni di FortiOS senza dire perché. Chi segue il produttore da qualche anno ha capito subito che conveniva aggiornare. Il 12 giugno è arrivato l’avviso ufficiale: la CVE-2023-27997 è un heap buffer overflow nella SSL-VPN di FortiGate che permette a un attaccante remoto di eseguire codice senza autenticazione. Gravità 9,8 su 10.
Sono coinvolti tutti i FortiGate con SSL-VPN attiva, che per sua natura è esposta su Internet. Le versioni corrette sono la 7.2.5, la 7.0.12, la 6.4.13, la 6.2.14 e la 6.0.17, o successive; FortiOS 7.4 non è vulnerabile. Sono interessate anche varie versioni di FortiProxy. La falla è stata scoperta da due ricercatori francesi, che l’hanno chiamata XORtigate e hanno rinviato la pubblicazione dei dettagli tecnici per dare tempo agli amministratori.
Fortinet dice che potrebbe essere stata sfruttata in un numero limitato di casi e sta indagando. Nello stesso avviso ricorda una campagna di spionaggio attribuita a un gruppo cinese che negli ultimi mesi ha preso di mira dispositivi di rete di infrastrutture critiche, senza collegarla esplicitamente a questa falla. L’agenzia statunitense per la cybersicurezza l’ha già aggiunta al catalogo delle vulnerabilità sfruttate.
La storia recente non lascia molto spazio all’ottimismo. Dopo le falle SSL-VPN del 2019 e del 2022, gli exploit sono arrivati in pochi giorni, e le credenziali rubate dai dispositivi non aggiornati sono circolate per anni. Con i dettagli tecnici in arrivo, il margine si misura in giorni.
Aggiorna oggi alla versione corretta per il tuo ramo. Se proprio non puoi, disattiva la SSL-VPN: è l’unica mitigazione indicata dal produttore. Controlla poi i log alla ricerca di crash del processo SSL-VPN, accessi anomali e account amministrativi creati di recente, e limita l’interfaccia di gestione alla sola rete interna.
Se il tuo firewall è fuori supporto e non riceve più aggiornamenti, questa è l’occasione per smettere di rimandare la sostituzione. Un apparato esposto su Internet che non può più essere corretto non protegge la rete: la espone.
